Cyber Resilienz
EU-Kommission verklagt Mitgliedstaaten wegen NIS2 — was Unternehmen wissen müssen
Kernaussagen
- Am 8. Juli 2026 verwies die Kommission vier Mitgliedstaaten an den EuGH — fehlende vollständige NIS2-Umsetzung trotz Frist Oktober 2024.
- NIS2-Pflichten gelten unabhängig von nationale Verzögerung — Unternehmen in betroffenen Ländern sollten nicht auf „Nachfrist durch Politik“ setzen.
- Deutschland hat das BSIG novelliert — Registrierung, Risikomanagement und Meldewesen sind operative Realität, siehe BSI-Hilfen.
- EuGH-Verfahren können Pauschal- und Tagessanktionen bringen — sie erhöhen politischen Druck, ändern aber nicht die EU-Richtlinienlogik.
- Cross-border Betreiber brauchen länderspezifische Register- und Meldepfade — Fragmentierung bleibt Risiko.
Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande wegen verspäteter NIS2-Umsetzung an den Gerichtshof der Europäischen Union (EuGH) verwiesen. Für Unternehmen in kritischen Sektoren ist das ein klares Signal: Compliance und Aufsicht unter NIS2 bleiben hoch prioritär — auch wenn einzelne Mitgliedstaaten national noch hinterherhinken.
Dieser Artikel erklärt Hintergrund, Verfahrenslogik und Auswirkungen auf Unternehmen — mit Blick auf Deutschland. Keine Rechtsberatung.
Was die NIS2-Richtlinie verlangt
NIS2 (Richtlinie (EU) 2022/2555) harmonisiert Cybersicherheit für 18 kritische Sektoren — Energie, Transport, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung und weitere. Kernpflichten:
- angemessenes Risikomanagement und Sicherheitsmaßnahmen,
- Meldung schwerer Vorfälle an zuständige Behörden,
- Geschäftsleitungs-Verantwortung und Schulung,
- Zusammenarbeit mit CSIRTs und EU-Krisenmechanismen (EU-CyCLONe).
Die Umsetzungsfrist für Mitgliedstaaten war 17. Oktober 2024. NIS2 ersetzte NIS1 ab 18. Oktober 2024 auf EU-Ebene.
Deutschland setzt NIS2 im BSIG um — Überblick: NIS2 im Unternehmen und Registrierungsfrist BSI.
Warum die Kommission jetzt klagt
Die Kommission führt bei fehlender Umsetzung ein Vertragsverletzungsverfahren:
- Mahnschreiben (November 2024),
- begründete Stellungnahme (Mai 2025),
- EuGH-Verweisung (Juli 2026) für Irland, Spanien, Frankreich, Niederlande.
Begründung: ohne vollständige nationale Umsetzung fehlen einheitliche Aufsicht, Register und Durchsetzung — Lücken in der europäischen Cyber-Resilienz.
Die Kommission beantragt Finanzsanktionen — Pauschalbeträge und Tagessätze bis zur vollständigen Umsetzungsanzeige. Das trifft Regierungen, nicht einzelne Unternehmen — verschärft aber politischen Druck auf schnelle Gesetzgebung.
Länder im Verfahren — Unternehmensbezug
- Irland / Spanien / Frankreich: nationale Umsetzung unvollständig — Unsicherheit bei Registrierung und Aufsicht.
- Niederlande: Gesetz verabschiedet, formelle Notifizierung an Kommission ggf. ausstehend — Verfahren kann enden, sobald Vollzug gemeldet ist.
- Deutschland: BSIG-Pfad aktiv — dennoch EU-weite Fragmentierung beachten.
Auswirkungen auf Unternehmen — auch in Deutschland
1. Keine Pause für Pflichten
EU-Richtlinienlogik: Pflichten existieren, auch wenn ein Mitgliedstaat spät transponiert. Unternehmen in Referenzländern sollten NIS2-Maßnahmen nicht verschieben — Aufsicht kann national vor EuGH-Urteil starten, sobald Gesetze in Kraft sind.
2. Cross-border Komplexität
Konzerne mit Standorten in IE, ES, FR, NL brauchen länderspezifische Betroffenheits- und Meldeprozesse. Ein deutsches BSIG-Setup ersetzt keine lokalen Register.
3. Strengere Durchsetzungskultur
Die Klage signalisiert EU-Durchsetzungswillen — parallel zum Cybersecurity-Paket der Kommission (Januar 2026) mit Klarstellungen zu NIS2. Aufsichtsbehörden dürften Compliance ernster prüfen — Dokumentation, Geschäftsleitungsnachweise, Lieferketten.
4. Schnittstelle zu CRA und Übungen
NIS2 adressiert organisationale Resilienz; der CRA Produkte. Übungen wie Cyber Europe 2026 testen Melde- und Krisenketten — Programme sollten beide Regime und Incident-Faktenbasis teilen.
Compliance-Checkliste für Entscheider
- Betroffenheit dokumentiert (Branche, Größe, Sonderrollen),
- BSI-Registrierung bzw. lokales Äquivalent in jedem EU-Land,
- Incident-Playbooks mit Meldefristen und CSIRT-Kontakten,
- Geschäftsleitung geschult und Nachweise archiviert,
- Lieferanten und kritische Dienste im Risikoregister — Verbindung zu Industrial Readiness bei OT.
Typische Fehlannahmen
- „EuGH-Verfahren = Stillstand für uns“ — falsch für Pflichteninhalt.
- „ISO 27001 reicht“ — ersetzt nicht BSIG/NIS2-spezifische Nachweise.
- „Nur IT-Security“ — Geschäftsleitung haftet mitverantwortlich.
Ausblick Aufsicht
Mit zunehmender Umsetzung in der EU wächst die Zahl definierter Aufsichtsbehörden und Sanktionsinstrumente. Unternehmen sollten NIS2 als dauerhaftes Governance-Thema führen — nicht als abgeschlossenes Projekt 2024/2025. Personal mit Regulatorik- und OT-Erfahrung bleibt knapp — Cybersecurity-Fachkräftemangel.
Fazit
Die EU-Kommission verklagt Mitgliedstaaten wegen NIS2, weil verspätete Umsetzung die europäische Cyber-Aufsicht schwächt. Für Unternehmen bedeutet das: Compliance weiter vollumfänglich planen, cross-border Register und Meldewege klären, Aufsicht ernst nehmen — unabhängig vom EuGH-Tempo. In Deutschland bleibt der BSIG-Pfad maßgeblich; international tätige Betreiber tragen Fragmentierungsrisiko, bis alle Staaten nachziehen.
Weiterführend: Cyber-Resilienz-Grundlagen, Cybersecurity Governance. Besetzung: Cybersecurity Recruiting.
Quelle
Europäische Kommission — NIS2 Directive: securing network and information systems
Häufige Fragen
- Nein. In Deutschland gelten BSIG/NIS2-Anforderungen; die Klage betrifft andere Mitgliedstaaten und unterstreicht EU-Durchsetzungswillen.
- Betroffenheit und Meldewege je Land prüfen — nicht deutsches BSIG-Setup blind kopieren. Rechtsberatung für Konzernstrukturen einplanen.
- Informationssicherheitsbeauftragte mit Regulatorik-Erfahrung, GRC-Manager und Incident-Response-Leads mit CSIRT-Schnittstelle — Profile, die Perfomynd gezielt besetzt.